Securitatea tranzacțiilor contactless

Securitatea tranzacțiilor contactless

Tranzacțiile contactless sunt protejate de același standard EMV ca și cardurile cu cip. Spre deosebire de banda magnetică, care poate fi clonată, cipul nu permite această manipulare. La cererea terminalului, microcipul generează de fiecare dată o cheie unică, valabilă doar pentru acea tranzacție. Chiar dacă ar fi interceptată, cheia nu poate fi folosită din nou. Pentru mai multe detalii vezi și informațiile despre securitatea cardurilor bancare.

Experții în securitate au ridicat de mai multe ori întrebări privind nivelul de protecție al standardului EMV, însă până acum nu au fost publicate scenarii de atac viabile în practică.

Există totuși o particularitate. În implementarea standardă, securitatea cardurilor cu cip se bazează pe combinația dintre cheile criptografice și introducerea codului PIN de către utilizator. În cazul tranzacțiilor contactless, PIN-ul nu este de obicei solicitat, astfel încât protecția se bazează exclusiv pe cheile criptografice ale cipului și ale terminalului. Pentru context suplimentar, vezi și definiția PIN-ului.

În teorie, ar fi posibilă crearea unui terminal capabil să citească datele cardului „din buzunarul” utilizatorului. Însă un asemenea terminal ar trebui să dețină chei criptografice furnizate de banca acceptatoare și de sistemul de plăți, chei ce sunt acordate numai prin contract cu instituții autorizate. Astfel, o astfel de fraudă ar putea fi rapid detectată și investigată.

Limita de sumă pentru tranzacțiile contactless

Un alt nivel de protecție este reprezentat de limitarea valorii maxime a unei tranzacții contactless. Această limită este stabilită de banca acceptatoare în funcție de recomandările sistemelor de plăți. De exemplu, în România pragul este de 100 RON pentru plățile fără PIN, în SUA este de 25 USD, iar în Marea Britanie 30 GBP.

O plată care depășește acest prag va fi respinsă sau va necesita o confirmare suplimentară (semnătură sau introducerea PIN-ului), în funcție de setările băncii emitente. De asemenea, în cazul în care se fac mai multe plăți consecutive sub acest prag, ar trebui să se activeze mecanisme adiționale de securitate.

Totuși, există și vulnerabilități. O echipă de cercetători britanici de la Universitatea Newcastle a raportat că a identificat o breșă în sistemul de plăți Visa: dacă tranzacția este solicitată într-o monedă străină, limita nu se mai aplică. Mai mult, dacă terminalul nu este conectat la internet, suma maximă a unei tranzacții frauduloase ar putea ajunge la 1 milion de euro.

Reprezentanții Visa au respins însă posibilitatea practică a unui astfel de atac, afirmând că sistemele bancare ar bloca tranzacția. În plus, terminalul controlează limita maximă a plății indiferent de moneda utilizată.